2月16日(月)3コマ目

今日、やったこと

  • CSRF(<form>タグのばあい)
  • SQLインジェクション
  • Spring Securityで認証アプリケーション作成

今日のホワイトボード

CSRF(<form>タグのばあい)

<form>タグは、ダウンロード元とは異なるサイト(クロスサイト)をaction属性に指定できる。

CSRF(クロスサイトリクエストフォージェリ)の脆弱性がある。

図　<form>タグにはCSRFの脆弱性がある


CSRF対策

<form></form>内にCSRFトークンを埋め込む。

AmazonのサイトからダウンロードしたページにはCSRFトークンがある。このCSRFトークンはサーバー側とクライアント側で共有する。submitボタンをクリックした際に、AmazonにはCSRFトークンが送信される。トークンが一致するなら、正しいリクエストと判断できる。

悪意のあるサイトからダウンロードしたページにはCSRFトークンがない。（悪意のあるサイトはCSRFトークンに何を指定すればいいかわからない） よって、このページからAmazonにリクエストしても、CSRFトークンがないため、Amazonはリクエストを拒否する。

図　<form>タグのCSRF対策 => CSRFトークンの埋め込み


SQLインジェクション

プログラム中で、SQLをクライアントから送信されたデータを使って、文字列結合で組み立てる場合に発生する。

SQLにはパラメータマーカーを使い、SQL実行時にデータをバインドすれば発生しない（と思う）

図　SQLインジェクション


認証機能をつくる

Spring Securityを使って、ユーザー認証をする。

Spring Securityは認証・認可のフレームワーク。


DB中のユーザー情報

パスワードはハッシュ化された状態で保存。（漏洩対策）

図　パスワードのハッシュ値がDBに保存される

暗号化とハッシュ化は似ているが、もとに戻せるか、戻せないか（厳密には戻すのにすごく時間がかかる）が違う。

図　暗号化とハッシュ化の違い


ソースコード

今日は途中まで作成。

なお、DBアクセスはO/Rマッピングツールを使っている。

O/Rマッピングツールのためのアノテーションがちょこちょこ出てくるので注意。

entity/Item.java

SEC_商品マスタテーブル情報を受け渡すためのクラス。


repository/ItemRepository.java

JpaRepositoryインタフェースを継承したインタフェース。

SEC_商品マスタテーブルを操作するインタフェース。

基本的なDB操作は作成してくれる。


application.properties

resourcesフォルダ内にある。プロジェクトの定数設定用ファイル。

DB接続に必要な情報をここで定義。


次回は

認証アプリケーション作成のつづき。

このブログの人気の投稿

1月13日(火)3コマ目

イメージ
今日、やったこと バッファオーバーフロー2（戻りアドレス書き換え） 今日のホワイトボード 前回はバッファオーバーフローの脆弱性を使って、関数の戻り値を変更した。 今回はバッファオーバーフローの脆弱性を使って、関数の戻りアドレスを変更する。 そもそもプログラムは コンパイルしてできた実行ファイルはメモリ上のコードエリアにロードされる。 関数を呼び出すと、コードエリアにロードされた命令を1つずつ、順に実行していく。 関数内の変数や引数のためのエリアは、関数呼び出し時にスタックエリア上に確保される。 サンプルプログラム２を実行する 前回のサンプルプログラム１の問題点を修正したサンプルプログラム２を実行する。 コマンドライン引数は、バッファオーバーフローが発生して、変数auth_flagのエリアを上書きしてしまう”12345678901234567890123456789"。 〇strcpy()実行前 変数auth_flagと配列pass_buffの位置を確認。 図　strcpy()実行後 〇return auth_flag実行前 前回のプログラムでは、変数auth_flagが上書きされているが、プログラムを修正したため、0になっている。 図　return auth_flag実行前 プログラムの実行コードを確認 デバッガのdisasコマンドを使って、実行ファイルからmain()関数をアセンブラに変換。 図　disasコマンドでアセンブラに変換 check()関数を呼び出す、main()関数に戻る 関数を呼び出す＝関数がロードされている位置から実行する。 アセンブラで確認すると、main()関数でcheck()関数の呼び出すと、callqコマンドでcheck()関数がロードされているアドレスに移動している。 check()関数の実行が終わると、再びcallqコマンドの次のコマンドから順に実行する。 ここに戻ってこれるように、スタックエリアに戻るべきアドレス番地が記録されている。 これが戻りアドレス。 図　check()関数呼び出し、main()関数に戻る 戻りアドレスを書き換える main()関数にて、check()関数の戻り値に関わらず、下図のように別に位置から実行させたい。 図　check()関数から戻る位置を変える check()関数から戻る位置 下図のように...
続きを読む

2月2日(月)4コマ目

イメージ
今日、やったこと [Webアプリケーションのセキュリティ]Cookie 今日のホワイトボード 前回までに作成したxss検証用サイトアプリケーションを使って、Webアプリケーション構築時に知っておかなければならない、セキュリティ知識を紹介。 座学メインで進めます。眠い、つまらん、ダルいと思いますが、最後に紙のテストをしますので、しっかり理解をしてください。 Cookieとは クライアント(Webブラウザ)がデータを保存する仕組み。 サーバーから Set-cookie で送信されたデータを保存する。 クライアントはサーバーにリクエストする際、Cookie保存データを送信する。 図　クライアントがCookieを保存する、サーバーに送信する SessionオブジェクトとCookie 〇Sessionオブジェクト Webアプリケーションにおいて、リクエストを跨いでデータを共有できるのが、Sessionオブジェクト。 Sessionオブジェクトはクライアント毎に生成し、ユニークなセッションIDで識別する。 〇セッションID クライアントとサーバー間で同じセッションIDを保持し、クラインとはサーバーにリクエスト送信する際に、セッションIDを送信することで、サーバー側はクライアントのセッションオブジェクトを識別している。 図　セッションオブジェクトとセッションID 〇クライアントのセッションID保存先 クライアントのセッションID保存先はCookie。 サーバーがセッション開始後、クライアントにset-cookieでセッションIDを送信。 図　セッションIDをset-cookieで送信 クライアント側で、Cookieは簡単に書き換えできる。 CookieのセッションIDを書き換えて、他人のセッションを乗っ取ることもできる。（セッションハイジャック） クライアントはサーバーにCookieを送信する(Domain属性) クライアントはサーバーにリクエスト送信する際、Cookieを送信する。 が、なんでもかんでも送るわけではない。 CookieのDomain属性がリクエスト先のサーバー名と一致するなら送信。 図　CookieのDomain属性とリクエスト先サーバー名が一致するなら送信 Domain属性とリクエスト先サーバー名が一致する、しないは 後方一致 で判断。 ”後方一致する”を簡単...
続きを読む

2月10日(火)3コマ目

イメージ
今日、やったこと クロスサイトスクリプティング(XSS) 今日のホワイトボード クロスサイトスクリプティング(XSS) スクリプトがいつ、どこで埋め込まれるかで3種類に分類される。 サーバー側で埋め込まれるのは、反射型と蓄積型。 反射型はリクエストするURLにスクリプトが含まれる。 蓄積型はスクリプトはサーバー側に保存されている。 クライアント側で埋め込まれるのは、DOM-base型。 図　3種類のクロスサイトスクリプティング クロスサイトスクリプティングを防ぐには ブラウザにHTMLとして認識されないように、<や>をそのままブラウザに送らない。 この置き換えを サニタイジング と呼ぶ。 図　サニタイジング ユーザーが入力したデータを出力する際は、サニタイジングを行う。 次回は Webのセキュリティの残り（SQLインジェクション、その他） 次々回に紙のテストをします。 
続きを読む